m 




j TO/T^TT WELTORGANISATION FUR GEISTIGES EIGE> 

1 ir ii Internationales Buro 

INTERNATIONALE ANMELDUNG VEROFFENTLICHT NACH DEM VERTRAG UBER DIE 
INTERNATIONALE ZUSAMMENARBEIT AUF DEM GEBIET DES PATENTWESENS (PCT) 



(51) Internationale Paten tkl ass iflkati on 5 
H04L9/00 



(11) Internationale Veroffenrlichungsnummer: WO 93/21711 

(43) Internationales 

Veroffentlichungsdatum : 28. Oktober 1993 (28. 10.93) 



(21) Internationales Aktenzeichen : 

(22) Internationales Anmeidedatum : 



PCT/DE93/00246 
17. Marz 1993(17.03.93) 



(30) Priori tiitsda ten: 
P42 11 989.8 



9. April 1992 (09.04.92) 



DE 



(71) An m elder (fur alle Bestimmungsstaaten ausser US): SIE- 

MENS AKTIENGESELLSCHAFT [DE/DE]; Wittels- 
bacherplatz 2, D-8000 Miinchen 2 (DE). SIEMENS 
NIXDORF INFORMATIONSSYSTEME AKTIEN- 
GESELLSCHAFT: Fiirstenallee 7 [DE/DE]; D-4790 
Paderborn (DE). 

(72) Erfinder; und 

(75) Erffinder/Anmelder (nur fur US) : HOFFMANN, Gerhard 
[DE/DE]; GozbertstraSe 8, D-8000 Miinchen 90 (DE). 
LUKAS, Klaus [DE/DE]; BlaufarberstraBe 6, D-8070 
Ingolstadt (DE). LECHNER, Stephan [DE/DE]; Putz- 
brunnerstrafce 1, D-8000 Miinchen 83 (DE). STEINER, 
Ferdinand [DE/DE]; KaulbachstraSe 42, D-8000 Miin- 
chen 22 (DE). BAUMGARTNER, Helmut [DE/DE]; 
ArzbergerstraRe 9a, D-8000 Miinchen 90 (DE). LOH- 
MANN, Ekkehard [DE/DE]; Humbroichweg 13, D- 
5300 Bonn (DE). LECLERC, Matthias [DE/DE]; 
SchwarzbergstraSe 52, D-6000 Frankfurt 1 (DE). 



(81) Bestimmungsstaaten: US, europaisches Patent (AT, BE, 
CH, DE, DK, ES, FR, GB, GR, IE, IT, LU, MC, NL, 
PT, SE). 



Veroffentlicht 

Mit internationalem Recherchenbericht. 



(54) Title: PROCESS FOR DETECTING UNAUTHORISED REINJECTION OF DATA SENT BY A TRANSMITTER TO 
A RECEIVER 
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(57) Abstract 




The process is designed to discover whether the data sent from the 
transmitter (SE) to the receiver (EM) have been tapped and subsequently fed 
back in and/or altered without authority. To this end the signature (S) allo- 
cated to the useful data (D) is symmetrically coded using a combination of 
coupling data (K) characterising the coupling between the transmitter and the receiver and random data (Z) provided by a ran- 
dom generator. The coupling data are transmitted uncoded, while the random data are coded. It is possible at the reception end to 
detect whether the message transmitted has been tapped and fed back into the system if the coupling data are incorrect. An altera- 
tion to the transmitted message can be detected in that the code used to encode the signature, which is obtained from a combina- 
tion of coupling data and random data with the aid of a one-way function, does not correspond to the code obtained at the receiv- 
er during decoding and thus the decoding of the encoded signature gives an incorrect result. This is recognised on verification of 
the signature. 

(57) Zusammenfassung 

Mit dem Verfahren soil festgestellt werden, ob die vom Sender (SE) zum Empfanger (EM) ubertragenen Daten abgehort 
und spater eingespielt worden sind und/oder unzulassig geandert worden sind. Dazu wird die den Nutzdaten (D) zugeordnete 
Signatur (S) symmetrisch unter Verwendung einer Kombination von die Kopplung zwischen Sender und Empfanger kennzeich- 
nenden Kopplungsdaten (K) und von einem Zufallsgenerator erzeugten Zufallsdaten (Z) verschliisselt. Die Kopplungsdaten wer- 
den im Klartext iibertragen, die Zufallsdaten verschliisselt Auf der Empfangerseite kann festgestellt werden, ob die ubertragene 
Nachricht abgehort und spater wieder eingespielt worden ist, wenn die Kopplungsdaten unzulassig sind. Eine Anderung der 
ubertragenen Nachricht kann dadurch festgestellt werden, daS der zur Verschliisselung der Signatur verwendete SchlOssel, der aus 
der Kombination von Kopplungsdaten und Zufallsdaten mit Hilfe einer Einwegfunktion gewonnenen worden ist, nicht dem bei 
der Entschlusselung beim Empfanger gewonnen Schliissel entspricht und somit die Entschliisselung der verschlusselten Signatur 
zu einem falschen Ergebnis fuhrt. Dies wird beim Verifizieren der Signatur erkannt. 
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Verfahren zum Erkennen einer unberechtigten Wiederein- 
spielung beliebiger von einem Sender zu einem Empfanger 
ubertragener Daten 

10 Es ist bekannt, die von einem Sender zu einem Empfanger zu 
ubertragenden Daten dadurch gegen unberechtigten Angriff 
zu schutzen, daQ die Daten verschlusselt werden. Zum Bei- 
spiel ergibt sich aus H. Sedlak, U. Golze, Ein Public-Key- 
Code Kryptographie-Prozessor , Inf ormationstechnik it, 28. 

15 Jahrgang, Heft 3/1986, Seite 157, 158 eine einftihrende Schil- 
derung der Moglichkeiten der Sicherung von Daten, die von 
einem Sender zu einem Empfanger zu ubertragen sind. Dabei 
kann sowohl der Sender als auch der Empfanger ein Rechner 
sein. Die Verschlusselung Oder Sicherung soil dazu fCihren, 

20 daS die Authenzitat des Absenders sowie ein Manipulations- 
schutz der Nachricht Oder der Daten erreicht wird. Dazu 
konnen die Nachrichten, die zu ubertragen sind, verschlus- 
selt werden, z.B. nach einem asymmetrischen oder symmetri- 
schen Verschlusselungsverf ahren • Asymmetrisch heiBt dabei, 

25 daB zum Ver- und Entschlusseln zwei verschiedene Schlussel 
verwendet werden. Ebenso ist es moglich, sowohl bei Empfan- 
ger als auch bei Sender denselben Schlussel zu verwenden, 
womit eine symmetrische Verschlusselung erreicht wird. Bei 
den asymmetrischen Ver f ahren ist es moglich, daB ein Schlus- 

30 sel sich nicht ohne Zusatzinf ormationen aus dem anderen 
Schlussel berechnen laBt. Deshalb kann einer der beiden 
Schlussel verof fentlicht werden. Dieses Verfahren wird 
auch Public-Key-Verf ahren genannt. 

35 Die zu Cibertragende Nachricht besteht gewohnlich aus Nutz- 
daten und einer aus den Nutzdaten entwickelten Signatur. 
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Die Signatur ist ein mit dem Absenderschlussel verschlus- 
selter Extrakt der Nutzdaten. Mit Hilfe des Empf angerschlus- 
5 sels kann dann festgestellt werden, ob die entschlusselte 
Signatur aus den ubertragenen Nutzdaten entwickelbar ist. 
Figur 1 zeigt dieses Prinzip. Die Nutzdaten D werden beim 
Sender SE vor dem Versenden mit einem Signierschlussel digi- 
tal unterschrieben. Es ergibt sich die Signatur S. Die Nutz- 
10 daten werden daraufhin zusammen mit der Signatur an den Empfa 
ger EM ubertragen. Der Empf anger EM uberpruft mit Hilfe 
des korrespondierenden Verifikationsschlussels die Integri- 
tat der aus Nutzdaten und Signatur bestehenden Nachricht 
und die Authentizitat der Unterschrift. 

15 

Ein potentieller Angreifer kann den Datenverkehr abhoren 
und die abgehorten Daten samt Signatur beim Empfanger oder 
bei einer anderen Stelle, die im Besitz des Verifikations- 
schlussels ist, wieder einspielen. Der Empfanger hat keine 
20 Moglichkeit, anhand der Signatur zu erkennen, ob diese ori- 
ginal sind oder ob es urn eine Wiedereinspielung handelt. 

Das der Erfindung zugrundeliegende Problem besteht darin, 
ein Verfahren anzugeben, bei dem der Empfanger erkennen 
25 kann, ob die empfangenen Daten direkt vom Sender ubertra- 
gene Daten Oder von einem Angreifer unberechtigt einge- 
spielte Daten sind. Dieses Problem wird gemaB den Merkmalen 
des Patentanspruches 1 gelost. 

30 Das erf indungsgemaBe Verfahren beruht im wesentlichen auf 
einer symmetrischen Verschlusselung der Signature Durch 
diese Verschlusselung kann eine falschungssichere Kopplung 
der Signatur an einen bestimmten Datenaustausch zwischen 
Sender und Empfanger erreicht werden. 

35 

Dazu ist es vorteilhaft, in den bei der Verschlusselung 
der Signatur verwendeten Schlussel sog. Kopplungsdaten 
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eingehen zu lassen, anhand derer ein unberecht igtes 
Wiedereinspielen erkannt werden kann. Solche Kopplungs- 
5 daten kSnnen z.B. eine Kennzeichnung des Empfangers Oder 
die Zeit der Datenubertragung sein. Die Kopplungsdaten 
konnen dem Empfanger im Klartext zur Uberprufung zusatz- 
lich zu den Nutzdaten und der verschlusselten Signatur 
ubermittelt werden. 

10 

Um weiterhin eine unberechtigte Ruckgewinnung der Original- 
signatur zu verhindern, gehen in den Schlussel zur Ver- 
schlusselung der Signatur zusatzlich vom Sender erzeugte 
Zufallsdaten ein. Diese Zufallsdaten konnen ebenfalls an 
15 den Empfanger ubertragen werden und zwar verschliisselt . 

Zur Verschlusselung der Zufallsdaten kann ein sog. Trans- 
ferschlussel verwendet werden, der sowohl ein symmetri- 
scher als auch ein asymmetrischer Schlussel sein kann. 

20 Beini Sender kann ein Zuf allszahlengenerator zur Verfiigung 
stehen. Die Verschlusselung der Signatur kann unter Ver- 
wendung einer fur Sender und Empfanger gemeinsamen Einweg- 
funktion erfolgen, die auch offentlich bekannt sein kann. 
SchlieGlich teilen sich Sender und Empfanger einen geheimen 

25 Schlussel bei Einsatz symmetrischer Verschlusselungsverf ah- 
ren bzw. ein Schlusselpaar bei Einsatz asymmetrischer Kryp- 
to- oder Verschlusselungsverf ahren . 

Weiterbildungen der Erfindung ergeben sich aus den Unter- 
30 anspruchen. 

Anhand eines Ausfuhrungsbeispieles , das in den Figuren 
dargestellt ist, wird die Erfindung weiter erlautert. 
Es zeigen 

35 Figur 2 ein Prinzipbild der von Sender zu Empfanger uber- 
tragenen Nachricht, 
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Figur 3 ein Schema des senderseitigen Schutzalgorithmus, 
Figur 4 ein Schema des empf angerseitigen Schutzalgorithmus. 

5 

Ausgehend von Figur 1 und 2 sollen Nutzdaten D von einem 
Sender SE zu einem Empfanger EM ubertragen werden. Auf der 
Senderseite stehen folgende Oaten zur Verfugung: Nutzdaten 
D und die dazugehorige Signatur S sowie ein Transf erschlCis- 

10 sel T, der eine vertrauliche Ubermittlung der Zufallsdaten 
Z ermoglicht. Die Ubertragung kann z.B. uber eine Ubertra- 
gungsleitung erfolgen. Urn die Ubertragung der Nutzdaten zu 
sichern, wird eine Signatur S verwendet, die zur verschlus- 
selten Signatur S/E umgewandelt worden ist. Zusatzlich zu 

15 den Nutzdaten D und der verschlusselten Signatur S/E konnen 
Kopplungsdaten K und verschlusselte Zufallsdaten Z/T zum 
Empfanger EM ubertragen werden. Die vom Sender SE zum Empfan- 
ger EM ubertragene Nachricht besteht somit aus Nutzdaten 
D, verschlusselter Signatur S/E, Kopplungsdaten K und 

20 verschlusselten Zufallsdaten Z/T. 

Nach Figur 3 wird die vom Sender SE zum Empfanger EM zu 
ubertragende Nachricht auf folgende Weise erzeugt: 
1. Zunachst werden Zufallsdaten Z von einem Zuf allsdaten- 
25 generator beim Sender erzeugt. 

■ 2. Weiterhin werden Kopplungsdaten K festgelegt. 

3. Aus einer Kombination von Zufallsdaten Z und Kopplungs- 
daten K wird durch Einwegverschlusselung ein symmetrischer 
Schliissel E erzeugt. Die dazu verwendete Einwegfunktion 

30 kann offentlich bekannt sein. 

4. Mit Hilfe des Schlussels E wird die Signatur S symme- 
trisch verschlusselt und die verschlusselte Signatur S/E 
erzeugt. 

5. Weiterhin werden mit Hilfe eines Transferschlussels T 
35 die Zufallsdaten Z zu verschlusselten Zufallsdaten Z/T 

verschlusselt. 

6. AnschlieQend kann die Nachricht vom Sender zum Empfan- 
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ger ubertragen werden, bestehend aus Nutzdaten D, ver- 
schlusselter Signatur S/E, Kopplungsdaten K und verschlus- 
5 selten Zufallsdaten Z/T. 

Nach Figur 4 stehen auf der Empf angerseite EM somit eine 
Nachricht zur Verfugung, die aus Nutzdaten D, verschliissel- 
ter Signatur S/E, Kopplungsdaten K, verschlusselten Zufalls- 
10 daten Z/T besteht, zusatzlich ist ein korrespondierender 
Transferschlussel T gegeben. 

Zur Uberprufung der ubertragenen Nachricht werden nun 
folgende Schritte durchgefuhrt : 

15 1. Die Kopplungsdaten K werden auf Plausibilitat unter- 
sucht. Ergeben sich aus der Uberprufung Unstimmigkeiten, 
so wird die Nachricht zuruckgewiesen. Bei der Plausibili- 
tatsprufung wird also gepruft, ob die Kopplungsdaten richtig 
sein konnen. Beispiele von Kopplungsdaten werden weiter 

20 unten behandelt. 

2. Die Zufallsdaten Z werden durch Entschlusselung der 
verschlusselten Zufallsdaten Z/T mit Hilfe des Transfer- 
schlussels T zuriickgewonnen. 

3. Aus den berechneten Zufallsdaten Z und den erhaltenen 
25 Kopplungsdaten K wird unter Verwendung einer Einwegver- 

schlusselung der verwendete symmetrische Schlussel E 
bestimmt . 

4. Durch Entschlusselung der verschlusselten Signatur S/E 
mit Hilfe des berechneten Schlussels E wird die Signatur S 

30 zuriickgewonnen . 

5. Die Signatur S wird uberpriift. Ergeben sich aus der 
Prufung Fehler, so wird die Nachricht zuruckgewiesen. 

Die Kopplungsdaten K und die Zufallsdaten Z/T konnen nicht 
35 unerkannt gefalscht werden. Eine Falschung wird spatestens 
bei der Uberprufung der Signatur durch den Empfanger EM 
bemerkt. Eine Modifikation der Kopplungsdaten K und der 
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verschlusselten Zufallsdaten Z/T fuhrt namlich beitn Em- 
pfanger zu einem verfalschten symmetrischen Schliissel E; 
5 die Entschlusselung der verschlusselten Signatur S/E mit 
dem verfalschten Schlussel E • fuhrt zu einer ungultigen 
Signatur S'. Dies wird schlieBlich beim Verifizieren der 
Signatur S 1 erkannt und als Falschung zuruckgewiesen. 

10 Ein Wiedereinspielen der Nachricht kannanhand der Kopp- 
lungsdaten K vom Empfanger EM erkannt werden. Welche spe- 
ziellen Wiedereinspielangriffe abgewehrt werden konnen, 
hangt von der Wahl der Kopplungsdaten ab . Anhand einiger 
Beispiele soil erlautert werden, wie sich bestimmte Eintrage 

15 in die Kopplungsdaten auswirken. 

Wenn die Kopplungsdaten aus einem leeren Eintrag bestehen, 
besteht eine implizite Kopplung der mit der Signatur ver- 
sehenen Nutzdaten an die Besitzer des Transferschlussels . 
20 Die abgehorten Daten konnen nicht unerkannt bei Systemen 

eingespielt werden, die nicht im Besitz des Transferschlus- 
sels sind. 

Die Kopplungsdaten konnen aus einem Eintrag des Empfanger- 
25 namens bestehen. Dann kann der Empf anger uberprufen, ob 
die Nachricht wirklich fiir ihn bestimmt war Oder ob die 
Nachricht ursprunglich an einen anderen Adressaten gerich- 
tet war, abgehort und wieder eingespielt worden ist. Der 
Empfanger kannjedoch nicht uberprufen, ob die Nachricht 
30 schon fruher einmal an ihn gesendet wurde. 

Die Kopplungsdaten konnen aus einem Eintrag der Sendezeit 
bestehen. Jeder der Empfanger kann dann uberprufen, ob die 
Nachricht aktuell ist Oder ob es sich um eine Wiedereinspie- 
35 lung alteren Datutns handelt. Allerdings konnte der Datenver- 
kehr abgehort und quasi zeitgleich an anderer Stelle wieder 
eingespielt werden. 
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Eine beliebige Kombinatioh von verschiedenen Eintragen in 
die Kopplungsdaten ist moglich. Werden mehrere Eintrage in 
5 den Kopplungsdaten kombiniert, so mussen samtliche Eintrage 
hinsichtlich ihrer Plausibilitat Ciberpruft werden. Nur wenn 
alle Priifungen positiv ausfallen, wird die Nachricht aner- 
kannt. Je mehr Inf ormationen in den Kopplungsdaten mitge- 
schickt werden, desto starker ist die Kopplung der unter- 
10 schriebenen Daten an einen ganz bestimmten Auftrag. 

Durch die Verwendung von Zufallsdaten Z, die in den Schlus- 
sel E eingehen, kann festgestellt werden, ob die Nachricht 
auf dem Weg vom Sender zum Empfanger geandert worden ist, 
15 Da die Zufallsdaten verschlusselt ubertragen werden und 
bei der Bildung des Schlussels E sowohl die Zufallsdaten 
als auch die Kopplungsdaten eingehen, kann jede Knderung 
der ubertragenen Nachricht festgestellt werden, 

20 Als Transferschlussel kann sowohl ein symmetrischer als 
auch ein asymmetrischer Schlussel verwendet werden. Fur 
den Fall, daQ beide Kommunikationspartner gegenseitig sig- 
nierte Daten austauschen und dabei ein Public-Key-Verf ah- 
ren benutzen, konnen die verwendeten Signier- und Verifi- 

25 kationsschlussel auch als Transportschlussel verwendet 

werden. Beim Verschlusseln der Zufallsdaten auf der Sen- 
derseite dient der offentliche Schlussel des Empfangers 
als Transferschlussel. Beim Entschlusseln der Zufallsdaten 
auf der Empfangerseite dient der private Schlussel des 

30 Empfangers als Transferschlussel. 

Das erfindungsgemaBe Verfahren laBt sich auch auf Pru- 
fsummen von Daten anwenden. Anstatt der Signatur wird die 
entsprechende Prufsumme symmetrisch verschlusselt. Die 
35 einzelnen Verf ahrensschritte beim Verschlusseln und Ent- 
schlusseln der Prufsumme bleiben unverandert. 
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Patentanspruche 

5 1. Verfahren zum Erkennen einer unberechtigten Wiederein- 
spielung beliebiger von einem Sender (SE) zu einem Empfan- 
ger (EM) ubertragener Daten, 

-bei dem die Daten aus Nutzdaten (D) und einer aus den 
Nutzdaten entwickelten Signatur (S) bestehen, 
10 -bei dem die Signatur (S) symmetrisch verschlusselt wird 
und der dazu verwendete Schlussel (E) von die libertragung 
zwischen Sender und Empfanger bezeichnenden Kopplungsdaten 
(K> abhangig ist. 

15 2. Verfahren nach Anspruch 1, bei dem die Kopplungsdaten 
(K) von der Zeit der Ubertragung der Oaten und/oder dem 
Empfanger abhangig sind. 

3. Verfahren nach Anspruch 1 Oder 2, bei dem die Kopp- 
20 lungsdaten (K) im Klartext an den Empfanger (EM) uber- 

tragen werden. 

4. Verfahren nach einem der Anspruche 1 bis 3, bei dem 
der Schlussel (E) beim Sender (SE) zusatzlich von Zu- 

25 fallsdaten oder Pseudozuf allsdaten (Z ) beeinfluQt wird. 

5. Verfahren nach Anspruch 4, bei dem die Zuf allsdaten (Z) 
mit einem Transferschlussel (T) verschlusselt an den Empfan- 
ger (EM) ubertragen werden. 

30 

6. Verfahren nach Anspruch 5, 

-bei dem die Zufallsdaten (Z) erzeugt werden, 

- bei dem die Kopplungsdaten (K) festgelegt werden, 

- bei dem ein symmetrischer Schlussel (E) durch Einwegver- 
35 schlusselung der Kombination der Zufallsdaten und der Kopp- 
lungsdaten erzeugt wird, 

- bei dem die Signatur (S) mit Hilfe des Schlussels (E) 
verschlusselt wird, 
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- bei dem die Zufallsdaten (Z) mit dem Transferschlussel 
(T) verschlusselt werden, 

5 - bei dem eine Nachricht bestehend aus den Nutzdaten (D), 
der verschlusselten Signatur (S/E) den Kopplungsdaten (K) 
und den verschlusselten Zufallsdaten (Z/T) versendet wird, 

7. Verfahren nach Anspruch 6, bei dem auf der Empfanger- 
10 seite die Kopplungsdaten (K) uberpruft werden und bei Un- 

stimmigkeit die Nachricht zuruckgewiesen wird, 

- bei dem die Zufallsdaten (Z) durch Entschlusselung der 
erhaltenen verschlusselten Zufallsdaten (Z/T) mit dem 
Transferschlussel (T) zuruckgewonnen werden, 

15 - bei dem der symmetrische Schlussel (E) durch Einwegver- 
schlusselung der Kombination aus den berechneten 
Zufallsdaten (Z) und erhaltenen Kopplungsdaten (K) 
bestimmt wird, 

- bei dem die Signatur (S) durch Entschlusselung der ver- 
20 schiusselten Signatur (S/E) mit Hilfe des berechneten 

Schlussels (E) zuruckgewonnen wird, 

- bei dem die Signatur (S) uberpruft wird und bei 
Feststellung von Fehlern die Nachricht zuruckgewiesen 
wird. 

25 

8. Verfahren nach einem der Anspruche 5 bis 7, bei dem 
als Transferschlussel (T) ein symmetrischer Schlussel 
verwendet wird. 

30 9. Verfahren nach einem der Anspruche 5 bis 7, bei dem als 
Transferschlussel (T) ein asymmetrischer Schlussel 
verwendet wird, wobei nach dem Public-Key-Verf ahren 
vorgegangen wird. 

35 10, Verfahren nach einem der vorhergehenden Anspruche, 
bei dem die Signatur durch eine Prufsumme der Nutzdaten 
ersetzt wird. 
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ll. Verfahren nach einem der vorhergehenden Anspruche, 
bei dem die Nutzdaten durch Protokolldaten Oder einex 

5 Kombination von Protokoll- und Nutzdaten ersetzt wird. 
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